Güvenlik Duvarı (Firewall) Nedir ve Nasıl Çalışır?
Ağ trafiğini kurallara göre filtreleyen, siber güvenliğin en temel savunma katmanı.
Güvenlik duvarı (firewall), bir ağa giren ve çıkan trafiği önceden tanımlanmış kurallara göre inceleyip izin veren veya engelleyen bir güvenlik bileşenidir. Bu makale, temel kavramların ötesine geçip gerçek kural yazımı, mimari kararlar ve modern yaklaşımlara odaklanır.
OSI Katmanına Göre Firewall Türleri
| Tür | OSI Katmanı | Karar Kriteri |
|---|---|---|
| Paket filtreleme | 3-4 (Ağ/Taşıma) | IP, port, protokol |
| Stateful inspection | 3-4 | Bağlantı durumu (connection tracking) |
| Proxy / Uygulama katmanı | 7 (Uygulama) | Protokol içeriği, HTTP metodu vb. |
| NGFW (Next-Gen Firewall) | 3-7 | Kullanıcı kimliği, uygulama imzası, TLS inceleme |
Stateful Inspection Nasıl Çalışır?
Durum bilgili bir firewall, her bağlantı için bir "connection tracking table" (bağlantı takip tablosu) tutar. Örneğin bir TCP el sıkışması (SYN → SYN-ACK → ACK) gerçekleştiğinde, firewall bu bağlantıyı NEW, ESTABLISHED veya RELATED olarak sınıflandırır. Linux'ta iptables/nftables ile bu mantık şöyle görünür:
# Sadece kurulu (established) ve ilişkili bağlantılara izin ver
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# Yeni gelen SSH bağlantılarına izin ver
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT
# Geri kalan her şeyi reddet
iptables -A INPUT -j DROP
Buradaki kritik nokta: ESTABLISHED kuralı olmadan, giden bir isteğe gelen yanıt bile engellenir çünkü firewall her paketi izole olarak değerlendirir.
NGFW ve Derin Paket İncelemesi (DPI)
Modern kurumsal ortamlarda kullanılan Next-Generation Firewall'lar, sadece port/protokol bilgisine değil, TLS handshake'teki SNI (Server Name Indication) alanına, uygulama imzalarına ve hatta (TLS inceleme/SSL interception yapılandırıldıysa) şifre çözülmüş içeriğe bakabilir. Bu, "port 443'ten giden her şey HTTPS'tir" varsayımının artık yeterli olmadığı, uygulama düzeyinde görünürlük gerektiren bir dünyada çalıştığımızı gösteriyor.
Mimari Karar: Zone-Based vs Perimeter Firewall
Geleneksel "perimeter" (çevre) modelinde tek bir firewall, iç ağı dış dünyadan ayırır — ama içeri bir kez girildiğinde yanal hareket (lateral movement) kolaylaşır. Modern yaklaşım, ağı zone'lara (DMZ, iç ağ, yönetim ağı vb.) bölüp her zone arası geçişi ayrı kurallarla kontrol etmektir. Bu, "kale ve hendek" (castle-and-moat) modelinden mikro-segmentasyona geçişin ilk adımıdır.
Pratik Senaryo
Bir kurumsal ağda, veritabanı sunucularının sadece uygulama sunucularından gelen 5432 (PostgreSQL) portu trafiğini kabul etmesi, başka hiçbir kaynaktan (hatta iç ağdaki diğer sunuculardan bile) bağlantı kabul etmemesi gerekiyor. Güvenlik ekibi bunu şu iptables kuralıyla sağlıyor:
iptables -A INPUT -p tcp -s 10.0.1.0/24 --dport 5432 -j ACCEPT
iptables -A INPUT -p tcp --dport 5432 -j DROP
Bir sızma testi sırasında, saldırgan uygulama sunucusuna erişim sağlasa bile, veritabanı sunucusuna doğrudan bağlanmaya çalıştığında farklı bir subnet'ten geldiği için bağlantı reddediliyor — segmentasyon, tek bir sunucunun ele geçirilmesinin tüm ağın ele geçirilmesi anlamına gelmesini engelliyor.
En İyi Uygulamalar
- Kural setini düzenli denetlemek (audit), "geçici" diye eklenip unutulan kuralları temizlemek.
- Giden (egress) trafiği de varsayılan reddet ile sınırlamak — C2 (command & control) trafiğinin önündeki en etkili engellerden biri budur.
- Firewall loglarını SIEM'e aktarıp korelasyon analizi yapmak.
Bu makale, firewall kavramının orta-ileri seviye teknik bir özetidir; SiberCrew ekibi tarafından hazırlanmış özgün içeriktir.